Как я могу подсчитать grep и отсортировать журнал iptables, чтобы получить количество IP-адресов и DPT? Как будто я использовал этот лайнер, чтобы получить максимальное количество IP.
egrep -w "Invalid Packet" ipfirewall.log | grep -o '[0-9][0-9]*\.[0-9][0-9]*\.[0-9][0-9]*\.[0-9]*' | sort | uniq -c | sort -r -n | head
Но как получить IP по DPT? Так будет:
250 192.168.1.1 DPT=3306
150 192.168.1.2 DPT=445
50 192.168.1.3 DPT=23
20 192.168.1.4 DPT=22
Формат журнала:
Jul 19 04:50:28 server1 kernel: IN=eth0 OUT= MAC=xx:xx SRC=124.153.186.56 DST=xx.xx.xx.xx LEN=60 TOS=0x00 PREC=0x00 TTL=50 ID=19312 DF PROTO=TCP SPT=4379 DPT=23 WINDOW=5840 RES=0x00 SYN URGP=0
Jul 19 04:50:28 server1 kernel: IN=eth0 OUT= MAC=xx:xx SRC=124.153.186.56 DST=xx.xx.xx.xx LEN=60 TOS=0x00 PREC=0x00 TTL=50 ID=47534 DF PROTO=TCP SPT=2339 DPT=23 WINDOW=5840 RES=0x00 SYN URGP=0
- == ОБНОВЛЕНИЕ == -
Я думаю, что я нашел что-то
grep eth0 ipfirewall.log | sed -r 's/.*SRC=(\S+).*PROTO=(\S+).*DPT=(\S+).*/\1 \2 \3/' | sort | uniq -c | sort -r -n
....
5 98.169.236.61 UDP 47841
5 70.177.175.182 TCP 80
5 111.91.181.224 UDP 33468
4 74.82.169.171 TCP 135
4 61.191.56.198 TCP 1433
4 61.176.222.153 TCP 1433
4 61.155.203.4 TCP 1433
4 59.92.155.105 TCP 80
4 121.10.172.216 TCP 1433
4 119.148.162.42 TCP 1433
4 117.197.191.18 TCP 80
3 160.218.75.210 TCP 445
....
Это то, в чем питон действительно хорош.
from collections import Counter
with open('iptables.log', 'r') as log:
ip_addresses = []
for line in log:
valueList = line.split(' ')
valueDict = {
'date':valueList[0]+valueList[1]+valueList[2],
'src_ip':valueList[8][4:]
'dst_ip':valueList[9][4:]
}
ip_addresses.append(valueDict['src_ip'])
print(Counter(ip_addresses))
Я уверен, что вы можете найти один лайнер, но его легче писать и поддерживать.
Ты можешь использовать awk чтобы извлечь интересующие вас поля, а затем использовать sort и uniq как прежде.
% awk '{print $9 " " $19}' log | sort | uniq -c | sort -gr | head
2 SRC=124.153.186.56 DPT=23
Это предполагает, что все поля существуют во всех сообщениях журнала и в одном порядке. Если это не так, вам, вероятно, нужно использовать подходящий язык сценариев, например Python или Ruby.